xcacls / icacls und deny delete

**forumwurm** · 17.01.2011, 15:48

ich möchte per script bei ein paar ordern (mit unterordnern und files) die berechtigung ändern.

hier ein beispiel:

Hauptordner
-unterordner1
- - nextlevel 1
- - nextlevel 2
-unterordner2

Berechtigung für Gruppe XYZ ist auf dem Hauptordner auf Modify und nach unten vererbt.

Nun möchte ich auf dem ordner "nextlevel2" der Gruppe XYZ das löschen von files verbieten.

Dazu gibt es meiner Meinung nach zwei Möglichkeiten

1. Löschen verweigern
2. Modify unterbrechen und special rechte vergeben ab diesem ordner.

cacls aleine genügt dafür nicht mehr, xcacls könnte eine möglichkeit sein und spätestens mit icacls sollte es gehen, nur habe ich den optimalen befehl noch nicht gefunden.

irgendwelche vorschläge, ideen?

thx4nfo fw

**Lengen1971** · 18.01.2011, 09:29

Hi, also, das interessiert mich auch. Was macht dieser Befehl?

icacls /hauptordn/unterordn/nextlevel2 /deny gruppe:(D) /T

Gruß
Michel

PS: ah, smily... das ist doppelpunkt-klammerauf-großes D-klammerzu

**Lemmi** · 18.01.2011, 10:56

Einfach unter dem Beitrag den Haken bei Grafische Smileys deaktivieren reinmachen. Dann hast die dinger auch da ne drin ^^

**Lengen1971** · 18.01.2011, 12:14

Merci.. ;-)

**forumwurm** · 18.01.2011, 15:03

@Lengen1971

gib mal icacls /? auf einen dos promt ein

Code:

    /deny Sid:perm explicitly denies the specified user access rights.
        An explicit deny ACE is added for the stated permissions and
        the same permissions in any explicit grant are removed.

        a comma-separated list in parenthesis of specific rights:
                D - delete

das setzt die Gruppe auf löschen verweigern. Da dies aber eine explizite Berechtigung ist, wird die vererbte "überschrieben". somit hat die Gruppe nicht einmal mehr lesezugriff auf den ordner

Code:

  ICACLS preserves the canonical ordering of ACE entries:
          Explicit denials
          Explicit grants
          Inherited denials
          Inherited grants

**Lengen1971** · 18.01.2011, 16:06

Hi,
ja, stimmt. War nur ne Diskussionsgrundlage...

OK, ich hab so´n ähnlichen Fall und ich benutz dazu 'cacls' mit den Parametern /E und /P:

/E Bearbeitet ACL anstatt sie zu ersetzen.
/P Benutzer:Berechtigung
Ersetzt die Zugriffsre
Mögliche Berechtigunge
N Kein
R Lesen
W Schreiben
C Ändern (Schreiben)
F Vollzugriff

Aber das wird nicht reichen, weil man nicht speziell 'löschen' bearbeiten kann....

**forumwurm** · 19.01.2011, 10:09

yep, deswegen xcacls oder icacls.

noch jemand einen idee?

**forumwurm** · 03.03.2011, 18:04

keine weiteren ideen mehr?

**linux-luder** · 04.03.2011, 08:17

Ich sehe leider nicht einen "Befehl" von Dir den man mal angehen koennte.
"Loeschen verbieten" und "Aenderungen gestatten" ohne Dateirevisionen zu haben ist m.E. sinnlos, die Dateien koennen trotzdem unbrauchbar werden.